ProxyCompass-Wissensdatenbank
Proxyauthentifizierung: IP-Zulassungsliste oder Benutzername und Passwort?
Proxyauthentifizierung prüft, ob Ihre Anwendung einen Proxydienst verwenden darf. Adresse und Port des Proxys allein reichen gewöhnlich nicht. Der Dienst muss erlaubte Clients von anderen erreichbaren Systemen unterscheiden. So bleibt die Nutzung der gekauften Proxies auf die von Ihnen berechtigten Clients beschränkt.
Die zwei verbreiteten Verfahren verwenden unterschiedliche Nachweise. Bei IP-Authentifizierung prüft der Proxy die Herkunft der Verbindung. Bei Benutzername-Passwort-Authentifizierung liefert die Anwendung Zugangsdaten. Das erste Verfahren bindet den Zugang an eine Netzwerkadresse; das zweite kann ihn beim Wechsel in ein anderes Netzwerk erhalten. Ein Dienst kann auch beide Bedingungen gemeinsam verlangen.
Die Wahl beeinflusst Verbindungsaufbau, nutzbare Anwendungen und das Verhalten bei Änderungen der Arbeitsumgebung. Sie ist ein eigener Teil der Auswahl einer Proxy-Lösung: Authentifizierung bestimmt weder Rechenzentrums- oder Residential-Herkunft noch statische oder rotierende Ausgangs-IP-Adressen. Sie bestimmt, wer den bereitstellenden Dienst nutzen darf.
So funktionieren die beiden Authentifizierungsverfahren
IP-Authentifizierung: Zugang für eine Verbindungsquelle
Bei IP-Authentifizierung tragen Sie eine Clientadresse in die erlaubte Liste des Anbieters ein, häufig Whitelist oder Allowlist genannt. Bei einer eingehenden Verbindung vergleicht der Proxy deren Quell-IP-Adresse mit dieser Liste. Stimmt sie überein und sind die weiteren Bedingungen erfüllt, kann die Anwendung den Proxy ohne gesonderten Proxy-Benutzernamen und ohne Passwort verwenden.
Bei einem Internetproxy ist gewöhnlich die öffentliche Ausgangs-IP-Adresse Ihres Netzwerks relevant. Von ihr erreicht Ihre Anwendung den Proxy. Sie ist nicht die Ausgangs-IP-Adresse, die der Proxy später Websites zeigt. Ein statischer Proxy macht Ihren Hausanschluss nicht statisch: Diese Adressen gehören zu unterschiedlichen Wegabschnitten.
Der Zugang bleibt deshalb bequem, solange die erlaubte Quelle gleich bleibt. Ein Programm kann neu starten oder ein anderes zugelassenes Gerät über dasselbe Netzwerk verbinden, ohne ein eigenes Proxypasswort zu benötigen. Ändert sich die öffentliche Quelladresse, deckt die alte Freigabe die neue nicht automatisch ab. Der Leitfaden zur IP-Authentifizierung erklärt die Ermittlung der richtigen Quelladresse und die Listenverwaltung.
Benutzername und Passwort: Zugangsdaten aus der Anwendung
Bei Benutzername-Passwort-Authentifizierung vergibt der Anbieter Zugangsdaten zur Proxynutzung. Die Anwendung sendet sie als Teil des unterstützten Proxyprotokolls. Ein Browser kann zur Eingabe auffordern; ein Skript kann sie ohne Anmeldefenster aus der Konfiguration übermitteln.
Sind Zugangsdaten die einzige Authentifizierungsbedingung, kann der Zugang der Anwendung zwischen Netzwerken folgen. Dieselbe funktionierende Konfiguration kann von einer neuen Quell-IP-Adresse weiter verbinden. Das hilft, wenn der Ausführungsort häufiger wechselt als die Proxyeinstellungen.
Die Zugangsdaten gehören zur Verbindung mit dem Proxy. Sie sind nicht automatisch das Passwort des Anbieterdashboards und melden Sie nicht bei der Zielwebsite an. Diese behält ihre eigenen Anmelde- und Zugangsregeln. Der Leitfaden zur Benutzername-Passwort-Authentifizierung behandelt Verbindungsfelder, unterstützte Clients und Zugangsdatenformate.
IP-Authentifizierung gegenüber Benutzername und Passwort
Der folgende Vergleich betrachtet beide Verfahren getrennt. Passwortzugang bedeutet hier Zugang ohne zusätzliche IP-Einschränkung. Der kombinierte Zugang folgt weiter unten.
| Praktische Unterschiede | IP-Authentifizierung | Benutzername und Passwort |
|---|---|---|
| Zugangsgrundlage | Die Verbindung muss von einer erlaubten Quell-IP-Adresse kommen. | Die Anwendung muss gültige Proxyzugangsdaten liefern. |
| Anwendungseinstellungen | Keine Proxyzugangsdaten nötig; korrektes Proxyprotokoll, Adresse und Port bleiben erforderlich. | Die Anwendung muss den Zugangsdaten-Austausch des Proxys unterstützen. |
| Wechsel in ein anderes Netzwerk | Die neue Quelle muss bereits erlaubt sein oder der Liste hinzugefügt werden. | Dieselben Zugangsdaten können im neuen Netzwerk funktionieren. |
| Mehrere Anwendungen | Anwendungen mit demselben erlaubten Netzwerkausgang teilen dessen IP-Freigabe. | Jede Anwendung muss akzeptierte Zugangsdaten senden. Mehrere Anwendungen dürfen gegebenenfalls dasselbe Paar verwenden. |
| Was eine offengelegte Proxyadresse verrät | Adresse und Port allein erfüllen die Quell-IP-Prüfung aus einem nicht zugelassenen Netzwerk nicht. | Eine vollständige Konfiguration mit gültigen Zugangsdaten kann Zugang aus einem anderen Netzwerk gewähren. |
| Was Sie pflegen | Erlaubte Quelladressen und die sie verwendenden Netzwerkwege. | Zugangsdaten und die dafür eingerichteten Anwendungen. |
Kein Verfahren bestimmt die Anzahl der Ausgangs-IP-Adressen des Dienstes. Eine erlaubte Client-IP-Adresse oder ein Zugangsdatenpaar kann viele Proxies erschließen. Beides gibt diesen weder unbegrenzte Verbindungen noch exklusive Ausgangsadressen für einen Kunden.
Das Verfahren für Anwendung und Netzwerk wählen
Zuerst die Unterstützung in der Anwendung prüfen
Ein Programm kann ein Proxyprotokoll unterstützen, ohne jedes dazugehörige Authentifizierungsverfahren zu beherrschen. Adress- und Portfelder belegen keine Übermittlung von Benutzername und Passwort. Chromes eingebautes SOCKS5 unterstützt beispielsweise keine SOCKS5-Benutzername-Passwort-Authentifizierung. Korrekte Zugangsdaten beheben diese fehlende Clientfähigkeit nicht.
Unterstützt die benötigte Anwendung das Protokoll, kann aber keine Zugangsdaten senden, bietet IP-Authentifizierung möglicherweise einen nutzbaren Weg. Sie verlangt weiterhin eine erlaubte Quelladresse. Ändert diese sich häufig, löst IP-Zugang das Zugangsdatenproblem, lässt aber die Quelladressverwaltung bestehen. Vielleicht benötigen Sie stattdessen einen Client mit passender Authentifizierungsunterstützung oder einen stabilen Netzwerkausgang.
Die sinnvolle Kaufprüfung lautet deshalb konkret: Kann diese Anwendung dieses Proxyprotokoll mit diesem Authentifizierungsverfahren nutzen? Erfolg in einem anderen Browser oder Kommandozeilenwerkzeug beantwortet das nicht.
Dann die üblichen Änderungen Ihrer Einrichtung betrachten
IP-Authentifizierung passt zu Aufgaben mit stabilem, kontrolliertem Netzwerkausgang. Nach dessen Freigabe müssen bei einem Programmwechsel dahinter keine Proxyzugangsdaten an jeden neuen Prozess verteilt werden. Die Zugangseinstellungen des Dienstes bleiben an das verwendete Netzwerk gebunden.
Zugangsdaten passen zu wechselnden Ausführungsorten. Wandert eine Aufgabe auf einen anderen Server oder starten neue Worker aus anderen Netzwerken, braucht nicht jede Quelle eine gesonderte Listenänderung, sofern der Dienst Zugangsdaten ohne IP-Bindung akzeptiert. Die Proxykonfiguration kann mit der Anwendung umziehen.
Entscheidend ist die Häufigkeit von Quelladresswechseln, nicht die Bezeichnung Laptop, VPS oder Cloudserver. Ein Laptop kann hinter einem festen Büroausgang bleiben; eine Serverbereitstellung kann öffentliche Adressen wechseln. Wählen Sie nach dem tatsächlichen Verbindungsweg und den im Alltag erwarteten Änderungen.
Wenn beide Verfahren funktionieren, die einfachere Verwaltung wählen
Berücksichtigen Sie die Zuständigkeit. Ein Netzwerkadministrator mit Kontrolle über einen festen Ausgang mehrerer Anwendungen kann den Zugang über eine einzige Quellfreigabe steuern. Ein Entwickler, der Aufgaben zwischen Umgebungen verschiebt, aber ihre öffentlichen IP-Adressen nicht kontrolliert, kann Zugangsdaten ohne IP-Bindung leichter verwalten.
Beziehen Sie zusätzlich benötigte Ressourcen ein. Eine feste öffentliche IP-Adresse, zusätzliche Listeneinträge oder ein verwaltetes Gateway können kostenpflichtig sein. Passwortzugang kann diese Kosten vermeiden, sofern er aus den benötigten Netzwerken funktioniert. Vergleichen Sie die tatsächlichen Dienstoptionen; ein Passwort allein macht einen Proxy nicht günstiger.
Kombinierte Authentifizierung: IP-Adresse und Passwort
Ein Anbieter kann IP- und Passwortzugang alternativ anbieten oder gemeinsam verlangen. Das sind unterschiedliche Regelungen. Im kombinierten Modus werden gültige Zugangsdaten nur akzeptiert, wenn die Verbindung auch von einer erlaubten Adresse oder einem erlaubten Netzwerk stammt. Ein korrektes Passwort allein reicht ebenso wenig wie eine erlaubte Quelle allein.
Das passt zu Anwendungen mit erforderlichen Benutzername-Passwort-Feldern, wenn die Herkunft des Zugangs weiterhin beschränkt sein soll. Es kann auch die Nutzung kopierter Zugangsdaten außerhalb des erlaubten Netzwerks begrenzen. Es bietet nicht dieselbe freie Netzwerkbeweglichkeit wie Passwortzugang ohne IP-Bindung.
In statischen ProxyCompass-Paketen akzeptiert der kombinierte Modus gültige Zugangsdaten von öffentlichen Client-IPv4-Adressen im selben /24-Subnetz wie eine eingetragene Whitelist-IP-Adresse. Solche Adressen haben dieselben ersten drei Zahlen. Mehrere Clientadressen dieses Subnetzes können die Zugangsdaten deshalb über einen Whitelist-Eintrag verwenden. Diese Regel betrifft verbindende Clients, nicht gekaufte Ausgangs-IP-Adressen. Der oben verlinkte Benutzername-Passwort-Leitfaden zeigt Verbindungsbeispiele.
Welches Verfahren bietet bessere Zugangskontrolle?
IP-Authentifizierung trifft die Zugangsentscheidung am Netzwerkausgang. Wer nur die Proxyadresse erhält, kann sie aus einer anderen, nicht erlaubten Quelle nicht verwenden. Der Proxy identifiziert aber keine einzelnen Personen allein anhand ihrer gemeinsamen erlaubten IP-Adresse. Erreichen ihn mehrere Nutzer über dieselbe öffentliche Adresse, sieht die IP-Prüfung für alle dieselbe Quelle. Das betrifft gemeinsame Büroausgänge und öffentliche Adressen, die mehrere Internetteilnehmer teilen.
Benutzername-Passwort-Authentifizierung legt die Berechtigung in Zugangsdaten, die Anwendungen unabhängig vom Standort vorlegen. Das funktioniert gut über getrennte Netzwerke. Eine kopierte Konfiguration mit gültigen Zugangsdaten kann dadurch jedoch auch anderswo nutzbar bleiben. Bietet der Anbieter getrennte Zugangsdaten für Nutzer oder Aufgaben, lässt sich der Zugang genauer steuern. Ein von allen geteiltes Passwort schafft diese Trennung nicht.
Die Wahl hängt daher davon ab, was Sie zuverlässiger kontrollieren: die Systeme hinter einem erlaubten Netzwerkausgang oder die den Anwendungen übergebenen Zugangsdaten. Kombinierter Zugang verlangt beides und begrenzt die Orte, von denen selbst gültige Zugangsdaten verwendet werden dürfen.
Zugangskontrolle und Verschlüsselung sind getrennte Fragen. IP-Authentifizierung verschlüsselt keinen Datenverkehr, ein Passwort erzeugt nicht automatisch eine verschlüsselte Verbindung. Zugangsdaten während der Übertragung benötigen Schutz auf der Client-Proxy-Verbindung selbst. Eine HTTPS-Website durch einen Proxy schützt allein keinen vorherigen unverschlüsselten Anmeldedialog mit diesem Proxy.
Macht IP-Authentifizierung einen Proxy schneller?
IP-Zugang kann einen Zugangsdaten-Austausch vermeiden; der Verbindungsaufbau unterscheidet sich jedoch zwischen HTTP und SOCKS. Bei SOCKS5 ergänzt Benutzername-Passwort-Authentifizierung eine Anfrage und Antwort. Bei HTTP kann ein Client auf eine Authentifizierungsanforderung warten und die Anfrage wiederholen oder passende Zugangsdaten sofort senden. Passwortzugang fügt deshalb nicht immer einen Netzwerkumlauf hinzu.
Der Unterschied zählt besonders bei vielen neuen Verbindungen für kleine Aufgaben. Er zählt weniger bei wiederverwendeten Verbindungen. Zusätzliche Seitenanfragen durch einen bestehenden HTTPS-Tunnel wiederholen beispielsweise dessen ursprüngliche Proxyanmeldung nicht. Das sind Aufbaukosten, keine feste Verringerung der Datenübertragungsgeschwindigkeit.
Passen beide Verfahren, vergleichen Sie sie mit demselben Protokoll, ähnlichen Proxyressourcen und Ihrem tatsächlichen Verbindungsmuster. Ein Test mit neuer Verbindung je Anfrage beantwortet eine andere Frage als einer mit Wiederverwendung. Ohne diesen Vergleich hilft die Behauptung eines stets schnelleren Authentifizierungsverfahrens wenig bei der Auswahl.
Kann Authentifizierung einen Proxybetrieb erkennbar machen?
Ja. Ein Passwort kann unberechtigte Nutzung verhindern und gleichzeitig die Erkennung durch ein externes System zulassen. Ein Prüfdienst kann beispielsweise Adresse und Port eines HTTP-Proxys ohne gültige Zugangsdaten kontaktieren. Die Antwort 407 Proxy Authentication Required mit dem Header Proxy-Authenticate kennzeichnet ausdrücklich eine erforderliche Proxyauthentifizierung. Dafür muss der Prüfdienst das Passwort nicht kennen.
Ein IP-beschränkter Dienst kann weniger offenlegen, wenn er eine unerlaubte Quelle vor einer erkennbaren Proxyantwort blockiert. Eine Zulassungsliste allein garantiert dieses Verhalten aber nicht: Der Server könnte eine charakteristische Ablehnung senden. Auch ein Passwortendpunkt kann Netzwerkfilter haben. Entscheidend sind Erreichbarkeit und Antwort für eine externe Verbindung.
Auch die geprüfte Adresse zählt. Sind Einstiegsadresse und Ausgangs-IP-Adresse identisch, kann eine erkennbare Antwort die für Websites sichtbare Adresse kennzeichnen. Bei einem Gateway mit anderen Ausgangsadressen identifiziert die Gateway-Erkennung nicht automatisch jeden Poolausgang.
Die Zielwebsite erhält die Proxy-Anmeldeanforderung beim normalen Browsen nicht automatisch: Dieser Austausch findet zwischen Client und Proxy statt. Eine Website oder ihr Erkennungsdienst benötigt andere Hinweise, etwa eine separate Adressprüfung. Ein Authentifizierungswechsel allein kann daher weder Nichterkennbarkeit als Proxy noch das Entfernen bekannter Adressinformationen versprechen.